Elke medewerker in uw organisatie kan software installeren die iedere bezochte pagina leest, sessiecookies verzamelt en naar believen de zoekmachine kan wijzigen. En dat is nog niet eens het engste deel.
Ik heb het uiteraard over browserextensies, die een serieuze bedreiging vormen voor organisaties. In de meeste bedrijven kunnen medewerkers ze installeren zonder goedkeuring. Erger nog: IT weet niet eens dat ze bestaan en kan ze daardoor op geen enkele manier beheersen, beheren of beveiligen.
Browserextensies in het kort
Browserextensies zijn tools in webbrowsers die de functionaliteit van uw favoriete applicaties uitbreiden. Iedereen heeft er minstens één en de meeste gebruikers hebben er meer dan 10. Denk aan wachtwoordmanagers, adblockers, screenshottools, VPN, Photoshop, notitie-apps, CRM (Customer Relationship Management) en nog veel meer.
Volgens Chrome Stats zijn er alleen al in de Chrome Web Store bijna 300.000 extensies beschikbaar!
Breng verborgen browserrisico’s in kaart
Extensies zijn de “nieuwe” shadow IT
Ik aarzel om browserextensies de “nieuwe” shadow IT te noemen, want ze bestaan al een hele tijd. Browserextensies zijn eigenlijk net zo oud als browsers zelf. Ze verschenen voor het eerst in 1999, toen Microsoft Internet Explorer 4 uitbracht met “Explorer Bars” (gespecialiseerde werkbalken) en aanpassingen aan contextmenu’s.
Maar browserextensies zoals wij ze nu kennen en zeker de risico’s die eraan verbonden zijn, zijn relatief nieuw.
Browserextensies werden voor het eerst misbruikt voor kwaadaardige doeleinden, zoals keylogging en het volgen van activiteit, vanaf 2013–2014. Vroege incidenten waren HoverZoom (2013), dat toetsaanslagen verzamelde, en de BBC News Reader (2014), die het surfgedrag van gebruikers bespioneerde.
Risico’s van kwaadaardige Chrome-extensies
Voor wie er niet in thuis is, lijken browserextensies onschuldig. Maar na het lezen van dit onderdeel hebt u hopelijk een helder beeld van de werkelijke risico’s. Ik beschrijf eerst de meest urgente risico’s, daarna geef ik concrete details en verwijs ik naar incidenten waarbij deze daadwerkelijk zijn misbruikt.
Er zijn vier hoofdcategorieën kwaadaardige Chrome-extensies.
- Datadiefstal en surveillance: het stelen van cookies, referenties, MFA-codes (Multi-Factor Authentication), e-mails, browsegeschiedenis, screenshots en meer.
- Kapen van accounts en browsers: geauthenticeerde sessies gebruiken om zich voor te doen als gebruikers, ongeautoriseerde handelingen uitvoeren, instellingen wijzigen of transacties starten.
- Manipulatie van content en verkeer: webpagina’s aanpassen, links vervangen, valse prompts of advertenties injecteren, verkeer omleiden en zoekresultaten wijzigen.
- Compromittering van de supply chain van extensies: eerder vertrouwde extensies tot wapen maken via gekaapte ontwikkelaarsaccounts, eigendomsoverdrachten of stille kwaadaardige updates.
Bovenstaande generalisatie doet het onderwerp geen recht. Als u blogs leest zoals die van John Tuckner (bedenker van Secure Annex, inmiddels eigendom van Socket), die waarschijnlijk meer tijd aan onderzoek naar deze problemen heeft besteed dan wie dan ook, ziet u bovenstaande thema’s keer op keer terugkomen.
Om dit artikel behapbaar te houden, heb ik drie risico’s gekozen om dieper op in te gaan. Dit zijn risico’s waar volgens mij de meeste organisaties mee te maken hebben.
Vertrouwde extensies die kwaadaardig worden
Dit is misschien wel het lastigste risico om mee om te gaan. Het ontstaat doordat een verder vertrouwde en “bekend goede” extensie op de een of andere manier gecompromitteerd raakt. Soms komt dat doordat het GitHub-account van een ontwikkelaar wordt gekaapt bij een phishingaanval, waarmee de aanvaller wijzigingen in de extensie kan aanbrengen.
In andere gevallen verkoopt de eigenaar van een browserextensie deze (om uiteenlopende legitieme redenen). Daardoor komt de extensie in handen van partijen met kwade bedoelingen, zeker als er een grote gebruikersbasis is. Vervolgens rollen zij een update uit met kwaadaardige code of functionaliteit.
Voorbeelden uit de praktijk:
- In december 2024 phishte een aanvaller een medewerker van Cyberheaven, kreeg publicatierechten in de Chrome Web Store (voor hun DLP-extensie voor Chrome) en pushte een kwaadaardige versie naar klanten – ongeveer 400.000 in totaal. De update kon webpaginagegevens, cookies en informatie over geauthenticeerde sessies verzamelen. Secure Annex en Sekoia publiceerden hier uitgebreide rapporten over als u meer wilt lezen.
- Een ander voorbeeld in deze categorie is de compromittering van Quicklens in februari 2026. Quicklens is een Chrome-extensie voor Google Lens. De extensie had ongeveer 7.000 gebruikers en een Google Featured-badge. Na de verkoop kreeg de extensie een kwaadaardige update die beveiligingsheaders van de browser verwijderde en op afstand aangeleverde JavaScript uitvoerde binnen webpagina’s. Ook hierover heeft Secure Annex (inmiddels eigendom van Socket) een uitstekend rapport geschreven.
Diefstal van sessie- en SaaS-data
Browserextensies werken vaak samen met SaaS-tools (Software as a Solution) zoals Microsoft 365, Google Workspace, CRM-systemen en meer. Juist dat maakt dit probleem extra gevaarlijk. U bent al ingelogd en geauthenticeerd, wat betekent dat de browserextensie dat ook is.
Het stelen van deze sessiedata kan waardevoller zijn dan het stelen van wachtwoorden, omdat de aanvaller een al geauthenticeerde sessie kan overnemen en het normale inlogproces, zoals prompts voor multifactorauthenticatie, kan overslaan.
Voorbeelden uit de praktijk:
- Ook bij de hierboven besproken compromittering van Cyberheaven richtte de gecompromitteerde versie van de extensies zich op sessiecookies, API-sleutels en authenticatietokens die hoorden bij Facebook Business en ChatGPT.
- In 2022 documenteerde Volexity hoe een groep met banden met Noord-Korea een kwaadaardige extensie gebruikte om e-mail rechtstreeks uit geauthenticeerde Gmail- en AOL-sessies te exfiltreren. Ja, u leest het goed. AOL. In dit geval plaatsten de dreigingsactoren de kwaadaardige extensie zelf, in tegenstelling tot de eerste categorie waarbij een gebruiker eerst een legitieme extensie downloadt.
- In 2021 vond Cisco Talos een actieve campagne met kwaadaardige extensies (MagnatExtension) die keylogging, form grabbing, screenshots, cookiediefstal en het verzamelen van browsegeschiedenis inzette. Dit noemen we een “information stealer”.
Manipulatie van websites
Kwaadaardige Chrome-extensies worden soms ook gemaakt om een website aan te passen nadat de legitieme site is geladen. Dreigingsactoren doen dit om valse inlogprompts te injecteren, links te vervangen, betaalgegevens te wijzigen of handelingen uit te voeren via de geauthenticeerde sessie van de gebruiker.
Het lastige hieraan is dat de wijzigingen lokaal plaatsvinden, waardoor de adresbalk gewoon de legitieme website en domeininformatie kan blijven tonen. Vervelend voor de gebruiker, want zo blijft dit makkelijk onopgemerkt.
Voorbeelden uit de praktijk:
- In 2023 injecteerde een malwarecampagne voor informatiediefstal met de naam Rilide (vermomd als een legitieme Google Drive) kwaadaardige scripts in cryptobeurzen, toonde vervalste MFA-dialoogvensters en probeerde op de achtergrond cryptovaluta-opnames te automatiseren.
- Ook bij de campagnes rond QuickLens en MagnatExtension werd waargenomen dat de extensies op afstand JavaScript uitvoerden en website-inhoud vervingen om phishing, datadiefstal en verdere verspreiding van malware mogelijk te maken.
Strategieën voor risicobeperking en governance
Browserextensies verdienen dezelfde behandeling als elk ander stuk software. Organisaties horen een duidelijk omschreven proces te hebben voor het gebruik en de installatie van deze extensies. Zoals ik hierboven heb laten zien gaan deze problemen duidelijk niet vanzelf weg. Het is dus belangrijk dat IT- en securityteams hier nu grip op krijgen. Onbeheerd brengen browserextensies een enorm risico met zich mee.
Hieronder staan vijf dingen waarmee u vandaag al kunt beginnen om het risico van browserextensies te beperken en ze in uw organisatie onder controle te krijgen.
Neem de regie over de browser terug
Weet wat er geïnstalleerd is
Houd een inventaris bij van browserextensies. Leg naam, versie en uitgever vast. Verwijder, net als bij ongebruikte systemen van eindgebruikers, extensies die niet meer gebruikt worden. Breng daarnaast in kaart welke extensies buiten de officiële stores om zijn geïnstalleerd.
Beperk installatierechten
Net zoals u dat met app control op systemen van eindgebruikers zou doen, blokkeert u extensies standaard en houdt u een goedgekeurde allowlist bij. Stel een gedocumenteerd proces op voor medewerkers die een nieuwe extensie aanvragen. Sta extensies alleen toe voor de gebruikers of groepen die ze echt nodig hebben.
Beoordeel extensies vóór goedkeuring
Beoordeel van elke extensie de rechten, het eigendom, de manier van dataverzameling en het gedrag voordat u deze goedkeurt. Dat is natuurlijk makkelijker gezegd dan gedaan, maar het kan later veel kopzorgen schelen. En het allerbelangrijkste: vertrouw niet alleen op goedkeuring in de store, beoordelingen, installatieaantallen of Featured-badges.
Houd verdachte activiteit in de gaten
Controleer goedgekeurde en momenteel geïnstalleerde extensies doorlopend op wijzigingen in eigendom, nieuwe rechten, verdachte updates en verbindingen met nieuwe externe domeinen. Dit zijn de klassieke alarmbellen dat er iets kwaadaardigs speelt met die extensie. Vraag om een nieuwe beveiligingscontrole zodra de toegang of het gedrag van een extensie wezenlijk verandert.
Bereid u voor op compromittering
Net als bij een mogelijk beveiligingsincident op een systeem van een eindgebruiker zorgt u dat u gecompromitteerde extensies op afstand kunt uitschakelen en alle getroffen gebruikers, apparaten en extensieversies kunt identificeren. Onderzoek welke websites en applicaties getroffen medewerkers hebben bezocht terwijl de extensie actief was. Trek blootgestelde sessies en tokens in, roteer referenties en controleer de betreffende accounts op ongeautoriseerde activiteit. Ik raad u sterk aan dit op te nemen in uw bestaande incident response-plannen en tabletop-oefeningen.
Afsluiting
Browserextensies zijn geen onschuldige aanpassingen. Het is software van derden die draait in dezelfde browser waarmee uw medewerkers e-mail, financiële systemen, CRM- en cloudplatforms en gevoelige bedrijfsgegevens benaderen.
U kunt niet beveiligen wat u niet ziet. Begin met het opbouwen van een inventaris, beperk installatie tot vertrouwde extensies en breng extensies vervolgens onder in dezelfde goedkeurings- en monitoringworkflows die u vandaag al gebruikt. Let op verdachte activiteit en neem browserextensies op in uw incident response-processen.
Als u vandaag niet kunt vaststellen welke extensies er binnen uw organisatie zijn geïnstalleerd, hebt u een beveiligingsgat. En juist waar beveiligingsgaten zitten, slaan aanvallers graag toe. Geef ze die kans niet.
